Regolamento UE 2016/679
Adeguamento GDPR
che tocca anche il software
Il registro dei trattamenti e le informative sono la parte visibile. Quella che di solito manca è l’altra: cancellare davvero un dato quando qualcuno lo chiede, sapere chi ha letto cosa, tenere separati i dati di clienti diversi. Il team legale prepara i documenti, gli sviluppatori mettono mano al sistema perché li rispetti.
Dove si rompe, di solito, un adeguamento fatto solo sulla carta
Il Regolamento UE 2016/679 è in vigore da anni e quasi tutte le aziende hanno fatto qualcosa: un’informativa sul sito, un registro compilato una volta, qualche nomina firmata. Il problema emerge quando i documenti vengono messi accanto ai sistemi reali. Il registro elenca cinque trattamenti e nel gestionale ce ne sono dodici. L’informativa dice che i dati restano in Europa e un fornitore del vostro stack li elabora altrove. La procedura promette la cancellazione in trenta giorni e il software non ha nessun modo di cancellare un cliente senza rompere lo storico delle fatture.
Nessuno di questi è un problema di scrittura. Sono problemi di sistema, e si risolvono solo aprendo il software: aggiungere una funzione di cancellazione che non distrugga i dati contabili, tenere un log di chi accede alle schede delle persone, separare gli ambienti di test dai dati veri, decidere per quanto tempo si conservano gli allegati caricati dagli utenti.
È il motivo per cui trattiamo il GDPR come un lavoro a due mani. La parte documentale serve e la facciamo, ma da sola descrive un’azienda che non esiste. Se la richiesta di un interessato o l’audit di un cliente arriva, la differenza si vede in quello che il sistema riesce a fare, non in quello che il PDF dichiara.
Situazioni in cui questo lavoro serve davvero
Non sapete quanti trattamenti avete
Il registro esiste ma nessuno lo aggiorna da un paio d’anni
Un cliente chiede evidenze
Questionari fornitori, audit, richieste di garanzie contrattuali
Usate strumenti cloud extra-UE
Trasferimenti, subresponsabili e clausole da verificare
Trattate dati particolari
Salute, dati giudiziari, categorie dell’art. 9 con regime più severo
Il software non sa cancellare
Nessun modo pulito di dar seguito a una richiesta di cancellazione
State lanciando un prodotto nuovo
Meglio decidere ora minimizzazione, retention e ruoli
Concretamente
Cosa consegniamo
Mappatura dei trattamenti
Ricognizione di quali dati personali trattate, dove risiedono, chi vi accede e con quali fornitori transitano. Si parte dai sistemi, non da un questionario compilato a memoria.
Registro delle attività di trattamento
Il registro previsto dall’art. 30, costruito sulla mappatura reale e in un formato che potete mantenere aggiornato senza dipendere da noi ogni volta.
Informative e basi giuridiche
Informative per clienti, dipendenti e candidati, coerenti con quello che il software fa davvero, e individuazione della base giuridica corretta per ciascun trattamento.
Nomine e accordi
Designazioni degli autorizzati, accordi con i responsabili esterni e verifica dei contratti con i fornitori che trattano dati per vostro conto.
Valutazione d’impatto (DPIA)
Quando il trattamento la richiede, la valutazione d’impatto sulla protezione dei dati, con le misure di mitigazione tradotte in requisiti tecnici e non solo in intenzioni.
Interventi sul software
Cancellazione ed esportazione dei dati, gestione dei consensi, log degli accessi, retention automatica e separazione degli ambienti: la parte che i documenti danno per fatta.
Cookie e strumenti di tracciamento
Verifica di cosa carica davvero il sito prima del consenso, revisione del banner e allineamento fra quello che il cookie policy dichiara e quello che il browser esegue.
Gestione delle richieste
Una procedura concreta per accesso, rettifica, cancellazione e portabilità, con i tempi di legge e chi in azienda deve rispondere.
Dalla mappatura al piano di adeguamento in 3-6 settimane
Ricognizione
Mappiamo che dati trattate, con quali strumenti e con quali fornitori. Non da questionario: guardando i sistemi che usate davvero, perché quasi sempre la mappa che esiste su carta e quella che esiste in produzione non coincidono.
Gap analysis
Confrontiamo la situazione reale con quello che la norma chiede e vi restituiamo un elenco di scostamenti ordinato per rischio, non per comodità di chi lo scrive. Ogni voce dice chi deve fare cosa, e se è un lavoro legale, tecnico o organizzativo.
Adeguamento
Il team legale prepara documenti, nomine e procedure; gli sviluppatori mettono mano a ciò che va cambiato nel software: log, permessi, cancellazioni, esportazioni, informative dentro il prodotto. È la parte che di solito resta a metà quando i due mondi sono in aziende diverse.
Mantenimento
La conformità non è una consegna, è uno stato. Restiamo disponibili per aggiornare i documenti quando cambiate fornitore o funzionalità, o quando cambia la normativa, e per rispondere quando arriva una richiesta di un interessato, un audit di un cliente o una segnalazione.
FAQ
GDPR: domande frequenti
Le risposte che diamo più spesso alle aziende che ci scrivono su questo tema.
La nomina è obbligatoria in tre casi previsti dall’art. 37: se siete un’autorità o un organismo pubblico, se il vostro core business richiede un monitoraggio regolare e sistematico degli interessati su larga scala, o se trattate su larga scala dati particolari o giudiziari. Fuori da questi casi resta facoltativa, e la valutazione va fatta sul vostro trattamento concreto, non sul settore in generale: è una delle prime cose che verifichiamo in ricognizione.
Il Regolamento prevede due fasce: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per le violazioni degli obblighi organizzativi, e fino a 20 milioni o il 4% per le violazioni dei principi e dei diritti degli interessati, applicando l’importo più alto. Nella pratica, però, il danno che vediamo più spesso non è la sanzione: è il contratto che salta perché il cliente chiede garanzie che l’azienda non riesce a documentare.
Sì, ma va documentato: quale strumento tratta quali dati, su quale base avviene l’eventuale trasferimento fuori dall’Unione, quali garanzie offre il fornitore e chi sono i suoi subresponsabili. Il lavoro concreto è tenere aggiornato questo elenco, perché cambia ogni volta che qualcuno in azienda attiva un servizio nuovo con la carta aziendale.
È una situazione frequente e non si risolve con un documento. Le strade sono due: intervenire sul software perché distingua i dati che vanno cancellati da quelli che la legge impone di conservare, come le fatture, oppure sostituire i dati identificativi con valori non riconducibili alla persona mantenendo i record contabili. Quale delle due sia praticabile dipende dal sistema, e per stabilirlo bisogna guardarlo.
In quel caso di solito lavoriamo sulla metà tecnica: prendiamo le misure che il vostro consulente ha previsto e le implementiamo nel software, oppure verifichiamo se i sistemi reggono quello che i documenti dichiarano. Non serve cambiare consulente per sistemare la parte che nessuno dei due mondi presidia da solo.
Si verifica in pochi minuti guardando cosa il browser carica prima che l’utente clicchi: se prima del consenso partono già script di analytics o pixel pubblicitari, il banner non sta facendo il suo lavoro, per quanto ben scritto sia il testo. È un controllo che facciamo insieme alla revisione dell’informativa, perché quasi sempre il problema sta nell’implementazione e non nella policy.
Preventivo
Parliamo del vostro GDPR
Descriveteci la situazione, anche in due righe. La prima call è gratuita e senza impegno: serve a capire da dove conviene partire. Rispondiamo entro 24 ore.
Richiesta inviata
Grazie! Ti ricontattiamo entro 24 ore per una prima call gratuita e senza impegno.
Torna alla homeInvio non riuscito
Qualcosa è andato storto. Riprova tra poco oppure scrivici direttamente a info@morfex.it.
RiprovaCollegato a questa pagina
- Sviluppo conforme Minimizzazione e retention decise prima di scrivere il codice
- Adeguamento AI Act Quando i dati personali finiscono dentro un sistema di AI
- Contratti software e SaaS Accordi sul trattamento dei dati e catena dei fornitori
- Caso studio: anonimizzazione documenti Pseudonimizzazione reversibile e dati dell’art. 9
- Strumenti AI con residenza dati UE Confronto dei fornitori che tengono i dati in Europa
- Legal & Compliance L’hub con tutte le aree e il metodo di lavoro